Teltonika RUTOS/TSWOS: Authentifizierungsumgehung mit OS-Command-Ausführung
Teltonika-RUTOS-Firmware 7.22 bis 7.24.2 (RUT, RUTX, RUTM, RUTC, ATRM, TAP, CAP, OXA, DAP, TRB, OTD, EBG) und TswOS 1.9 bis 1.10 (SWM, TSW) erlauben unauthentifizierten Benutzern, interne LUA-Funktionen direkt aufzurufen und dabei die Validierung zu umgehen, die bei API-Anfragen normalerweise greift. Da diese Anfragen nicht dem korrekten Ablauf folgen, kann ein Angreifer möglicherweise Betriebssystembefehle auf dem Gerät ausführen. Der Hersteller beschreibt den Zugriff über den HTTPS-Port; der CNA-Vektor nennt jedoch einen benachbarten Netzwerkzugriff, weshalb die Exposition umstritten ist. Der Hersteller stellt Korrekturen bereit.
Teltonika Networks · RUTOS and TSWOS
